306. 내부 확장·측면 이동 — 출발지-목적지-계정-시점의 분석 축

Об этом предложении

시스템 보안 · 취약점 › G. 내부 확장 · 측면 이동 징후 · 6/50편 (전체 306/450) 학습 단계: 측면 이동 기본 개념 실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」 이며, IP·계정·호스트명은 가상의 값입니다. 선행 학습 305. 내부 확장·측면 이동 — 동-서 트래픽(east-west)과 이상 탐지 원리 005. 접근 주체·경로·시점의 분석 축(C영역) 1. 개념 측면 이동 이벤트를 판정하려면 여러 축으로 평가해야 합니다. 내부 이동의 5개 분석 축(출발지·목적지·계정·시점·방법) 을 정리합니다. 각 축을 기준선(G04)과 비교해 이상을 평가합니다. 측면 이동 분석 5축 1 출발지(From): 어느 호스트에서(거점?) 2 목적지(To): 어느 호스트로(핵심 자산?) 3 계정(Who): 어떤 계정으로(탈취·공유?) 4 시점(When): 언제(업무/새벽, 정기/비정기) 5 방법(How): 어떻게(SSH·원격실행·재사용) 각 축을 기준선(G04)·연결 맵과 비교 → 이탈 평가 5축은 G08(판정 기준)의 기초이며, 모든 개별 이동 탐지(G09~)가 이 축을 구체화한 것입니다. 특히 출발지(거점)·목적지(핵심 자산)가 중요합니다. 2. 왜 중요한가 단일 축(연결 발생)만으로는 정상 통신과 구분할 수 없어 다축 평가가 필요합니다. 출발지(거점 여부)·목적지(핵심 자산 여부)가 위험도를 크게 좌우합니다. 각 축을 연결 맵·기준선과 비교해 이탈을 평가합니다. 3. 핵심 명령어 / 설정 축 질문 이탈 신호 출발지 어디서 거점·서비스 서버 발 목적지 어디로 핵심 자산·다수 계정 누구로 탈취·공유·교차 시점 언제 새벽·비정기 방법 어떻게 SSH·재사용·원격실행 4. 실습 (실습 예시) # 측면 이동 5축 분석 (분석 방법) — 한 이동을 5축으로 # 예: web01 → db01 SSH by root at 04:00 echo "1 출발지: web01(거점, 웹 서버) → 이탈" echo "2 목적지: db01(핵심 자산 DB) → 이탈" echo "3 계정: root(평소 미사용) → 이탈" echo "4 시점: 04:00(새벽) → 이탈" echo "5 방법: SSH(연결 맵에 없음) → 이탈" echo "=> 5축 전부 이탈 → 정탐" 5. 정상 상태 정상 이동 5축: 1 mgmt01(관리) 2 app01(정상 대상) 3 deploy(배포 계정) 4 14:00(업무) 5 정해진 배포 경로 => 5축 정상 → 정상 관리 이동 관리 호스트가 배포 계정으로 업무 시간에 정해진 경로로 이동하는, 5축이 모두 정상인 상태입니다. 6. 이상 상태 이상 이동 5축: 1 web01(거점) 2 db01(핵심 자산) 3 root(탈취) 4 04:00(새벽) 5 SSH(맵 외) => 5축 전부 이탈 → 정탐(측면 이동) 5축이 모두 기준선을 이탈 → 명백한 측면 이동 특히 출발지(거점)+목적지(핵심 자산) 조합이 결정적 정상(관리)과 정반대 → 정탐 7. 로그 분석 (분석 방법) 측면 이동 5축 분석 흐름입니다(가상의 예시). [이동] web01 → db01 SSH (root, 04:00) ↓ (5축 평가) 1 출발지 web01(거점) → 이탈 2 목적지 db01(핵심 자산) → 이탈 3 계정 root(탈취) → 이탈 4 시점 04:00 → 이탈 5 방법 SSH(맵 외) → 이탈 ↓ [종합] 이탈 축 수 → 정탐/오탐(G08) 축 가중치 출발지·목적지 높음(거점·자산) 계정 높음(탈취) 시점·방법 보조 출발지(거점)+목적지(핵심 자산) 조합이 가장 결정적인 판정 근거입니다. 8. SOC 관제 포인트 측면 이동은 5축(출발지·목적지·계정·시점·방법) 으로 분석합니다. 각 축을 연결 맵·기준선(G04)과 비교해 이탈을 평가합니다. 출발지(거점)+목적지(핵심 자산) 조합이 위험 판정의 핵심입니다. 9. 탐지 규칙 <!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 --> <group name="local,syssec_g,lateral,"> <!-- 거점(서비스 서버)에서 핵심 자산(DB)으로 이동(출발지+목적지 축) --> <rule id="106050" level="13"> <if_sid>106040</if_sid> <field name="audit.addr" type="pcre2">^10\.0\.0\.(10[0-9]|dbhost)$</field> <description>거점에서 핵심 자산으로 측면 이동(출발지+목적지 이탈)</description> <mitre><id>T1021</id></mitre> </rule> </group> 핵심 자산 IP 목록을 정의해 목적지 축을 구체화합니다. 계정·시점·방법 축은 상관 룰(G42)로 보완합니다. 10. 대응 방법 초기 확인 — 이동 이벤트를 5축(출발지·목적지·계정·시점·방법)으로 평가합니다. 범위 확인 — 거점 발·핵심 자산 행·탈취 계정·새벽·맵 외 방법을 확인합니다. 증거 확보 — 5축 평가 근거와 이동 로그를 보존합니다. 차단/조치 — 다축 이탈이면 경로 차단·확산 추적·대응을 진행합니다. 재발 방지 — 측면 이동 5축 분석을 개별 탐지의 공통 틀로 운영합니다. 11. 핵심 정리 축 이탈 신호 출발지 거점·서비스 서버 발 목적지 핵심 자산·다수 계정 탈취·공유·교차 시점·방법 새벽 / SSH·재사용 면접 포인트 "측면 이동은 5축 평가 — 출발지(거점)+목적지(핵심 자산)가 결정적" 12. 다음 편 예고 다음 편 307. 내부 확장·측면 이동 — 피벗(pivot)·터널링의 개념 에서는 피벗·터널링을 다루는 피벗(pivot)·터널링의 개념 을 다룹니다. 이전 편: 305. 내부 확장·측면 이동 — 동-서 트래픽(east-west)과 이상 탐지 원리 📚 시리즈 전체 보기: 시스템 보안 · 취약점